網(wǎng)絡(luò)運維|訪問控制列表ACL

2020-04-28 16:42 作者：艾銻無限 瀏覽量：

ACL簡介

定義

目的

• 企業(yè)重要服務(wù)器資源被隨意訪問，企業(yè)機密信息容易泄露，造成安全隱患。
• Internet病毒肆意侵略企業(yè)內(nèi)網(wǎng)，內(nèi)網(wǎng)環(huán)境的安全性堪憂。
• 網(wǎng)絡(luò)帶寬被各類業(yè)務(wù)隨意擠占，服務(wù)質(zhì)量要求最高的語音、視頻業(yè)務(wù)的帶寬得不到保障，造成用戶體驗差。

• 某企業(yè)為保證財務(wù)數(shù)據(jù)安全，禁止研發(fā)部門訪問財務(wù)服務(wù)器，但總裁辦公室不受限制。實現(xiàn)方式：

• 保護企業(yè)內(nèi)網(wǎng)環(huán)境安全，防止Internet病毒入侵。實現(xiàn)方式：

ACL的基本原理

ACL的組成

• ACL編號：用于標(biāo)識ACL，表明該ACL是數(shù)字型ACL。

• 規(guī)則：即描述報文匹配條件的判斷語句。
  • 規(guī)則編號：用于標(biāo)識ACL規(guī)則。可以自行配置規(guī)則編號，也可以由系統(tǒng)自動分配。

• 動作：包括permit/deny兩種動作，表示允許/拒絕。
• 匹配項：ACL定義了極其豐富的匹配項。除了圖2中的源地址和生效時間段，ACL還支持很多其他規(guī)則匹配項。例如，二層以太網(wǎng)幀頭信息（如源MAC、目的MAC、以太幀協(xié)議類型）、三層報文信息（如目的地址、協(xié)議類型）以及四層報文信息（如TCP/UDP端口號）等。

ACL的匹配機制

• 如果ACL不存在，則返回ACL匹配結(jié)果為：不匹配。
• 如果ACL存在，則查找設(shè)備是否配置了ACL規(guī)則。
  • 如果規(guī)則不存在，則返回ACL匹配結(jié)果為：不匹配。
  • 如果規(guī)則存在，則系統(tǒng)會從ACL中編號最小的規(guī)則開始查找。
    • 如果匹配上了permit規(guī)則，則停止查找規(guī)則，并返回ACL匹配結(jié)果為：匹配（允許）。
    • 如果匹配上了deny規(guī)則，則停止查找規(guī)則，并返回ACL匹配結(jié)果為：匹配（拒絕）。
    • 如果未匹配上規(guī)則，則繼續(xù)查找下一條規(guī)則，以此循環(huán)。如果一直查到最后一條規(guī)則，報文仍未匹配上，則返回ACL匹配結(jié)果為：不匹配。

• 匹配（命中規(guī)則）：指存在ACL，且在ACL中查找到了符合匹配條件的規(guī)則。

• 不匹配（未命中規(guī)則）：指不存在ACL，或ACL中無規(guī)則，再或者在ACL中遍歷了所有規(guī)則都沒有找到符合匹配條件的規(guī)則。